请教个 docker 或是 iptables 防火墙问题：容器内能 ping 通 ip 但 ping 不通域名，提示“bad address”

[AllenHua]

原帖发在了恩山，https://www.right.com.cn/forum/thread-4109783-1-1.html

dns 服务器应该不是问题了，可能就是防火墙的问题。用的是 x86 的 openwrt，防火墙是 iptables 程序，这条 iptables 规则怎么写？ docker 中的容器 ping 不通域名这个问题是怎么一回事？

echo echo "91.189.92.201 archive.ubuntu.com" >> /etc/hosts 后就能 ping 通 archive.ubuntu.com 这个域名

搜到了下面的方法，但是我不知道用 iptables 该怎么解决，救救孩子🧒🏻吧

firewall-cmd --zone=public --add-masquerade --permanent
firewall-cmd --reload
systemctl restart docker

[wunsch0106]

修改下 dns

[AllenHua]

@wunsch0106 #1 改成了 223.5.5.5 180.76.76.76 8.8.8.8 这种公共 dns 都没成功

感觉是防火墙问题

[cpstar]

你那个 echo 相当于本地解析，所以 archive.ubuntu.com 肯定成功
判断的方法很简单，关掉防火墙，如果立马正常，那就是防火墙的问题。
加一条 udp53 的端口放行。但是定义了 wan 和 lan，默认 lan->wan 不拦截。

[codehz]

你用 nslookup/dig 测试 dns，别用 ping 测试域名，根本不是一个用途的

[cpstar]

原帖说的网络结构比本贴复杂啊
先找个外网的 IP，测试路由是否通顺，别 docker 里的数据包路由上就不带转发的。
然后网络结构略复杂，一层 NAT 就是一层损耗，想办法缩减一下结构吧。

[AllenHua]

@codehz #4 # ping 10.10.10.1 -c 2
PING 10.10.10.1 (10.10.10.1): 56 data bytes
64 bytes from 10.10.10.1: seq=0 ttl=64 time=0.458 ms
64 bytes from 10.10.10.1: seq=1 ttl=64 time=0.256 ms

--- 10.10.10.1 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 0.256/0.357/0.458 ms
/ # ping 8.8.8.8 -c 2
PING 8.8.8.8 (8.8.8.8): 56 data bytes
64 bytes from 8.8.8.8: seq=0 ttl=46 time=8.660 ms
64 bytes from 8.8.8.8: seq=1 ttl=46 time=8.481 ms

--- 8.8.8.8 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 8.481/8.570/8.660 ms
/ # cat /etc/resolv.conf
search lan
nameserver 8.8.8.8
nameserver 8.8.4.4
/ # dig baidu.com

; <<>> DiG 9.16.11 <<>> baidu.com
;; global options: +cmd
;; connection timed out; no servers could be reached

/ # ping baidu.com -c 2
ping: bad address 'baidu.com'

我的宿主机 是 10.10.10.1

docker 的 dns 指定了 8.8.8.8 和 8.8.4.4

能 ping 通 8.8.8.8 但是 ping 不通 baidu.com dig 也是超时，没有能到达的服务器
@cpstar #3
@cpstar #5

[AllenHua]

@cpstar #5 房东的路由器 我也没法拆 只能这样了吧，我自己还要在路由上搭建服务 于是只能 docker 内部 192.168.20.x -> 到我的路由器 10.10.10.1 再到房东的 192.168.1.1 然后出去

[AllenHua]

@cpstar #3 昨晚尝试 关掉了防火墙 /etc/init.d/firewall stop 整个网络都不行了 /捂脸

[codehz]

dig 强制指定一个 dns 试试看
dig @8.8.8.8 g.cn +trace

[AllenHua]

@codehz #9 谢谢，下面是输出

# dig @8.8.8.8 g.cn +trace

; <<>> DiG 9.16.11 <<>> @8.8.8.8 g.cn +trace
; (1 server found)
;; global options: +cmd
;; connection timed out; no servers could be reached

[oluoluo]

`iptables -A INPUT -p udp --dport 53 -j ACCEPT` 加个这个访问规则可不可以呢

[AllenHua]

@oluoluo #11 还是不可以 感谢。我附言一下最新“进展”

[xuanbg]

没有复杂网络需求的，容器一律使用宿主机网络，也就是 host 。

[codehz]

看起来是 udp 53 连接被阻止了，试试+tcp 的选项（附加到后面，另外多测试几种 dns 服务器，难说是抽风了）
应该就是防火墙的配置问题（（（

[AllenHua]

@xuanbg #13 好的 谢谢
@codehz #14 感觉是 iptables 配置的问题

`iptables -t nat -vnL` 执行这一句 输出没有 docker0 这个接口的相关内容（防火墙小白阵亡……

https://www.cnblogs.com/wangxu01/articles/11316447.html 参考这个 感觉复杂 头大🤦🏻‍♂️

[Jirajine]

docker 的网络模式命名非常迷惑人，这个“bridge”模式在其他虚拟机等类似情况下都叫“nat 模式”，而对应传统虚拟机的 bridge 模式在 docker 里是 macvlan （类似但不同），而真正的 bridge 模式 docker 并不支持。

[cpstar]

哈，firewall 不能直接关，我好像忘了这茬事了。因为 iptables 上是不是带着路由转发呢，哎，不对啊，路由和 iptables 应当是两码事。

从 6#的情况看，肯定 UDP53 被拦截了。你定义一下 firewall 的区域。

然后我没整明白那个 10.10.10.x 是个什么存在，也就是 192.168.1.1-10.10.10.1-192.168.20.x ？有点怪。。。

[AllenHua]

@cpstar #17
@codehz #14
@oluoluo #11

```
ACCEPT tcp -- anywhere anywhere tcp dpt:domain /* !fw3: tcpudp53 */
ACCEPT udp -- anywhere anywhere udp dpt:domain /* !fw3: tcpudp53 */
```

放行了 dns 查询的 53 端口 tcp+udp 容器内还是 ping 不通域名

[bowser1701]

试试 `dig @119.29.29.29 baidu.com` 和 `dig baidu.com` 比较一下看看是不是本地的 DNS server 出问题了。

[zhangsanfeng2012]

你的路由器是 openwrt，那你 openwrt 中能 ping 通域名吗？你的 docker 装在 openwrt 的机子里面？